面向Windows Native API调用的入侵防御模型.pdfVIP

108 2010，46(33) ComputerEngineering口 p，fc口ff0 计算机工程与应用 面向WindowsNativeAPI调用的入侵防御模型 刘卫国，罗站城 LIU Wei—guo，LUO Zhan—cheng 中南大学 信息科学与工程学院，长沙 410083 SchoolofInformation Science and Engineering，CentralSouth University，Changsha410083，China E—mail：liuwg@mail．CSU．edu．Cn LIU W ei-guo，LUO Zhan-eheng．W indowsNative API oriented intrusion prevention mode1．Computer Engineering and Applications，2010，46(33)：108-111． Abstract：To improve the detection rate，ability ofreal—time detecting and intelligence ofthe intrusion prevention system on the Windows operating system ，this paper introduces the embedded assembly language to simplify the monitoring of W in— dows NativeAPI，and dividesthe data setinto a table ofindependentvariable—length paRems，and appliesrough settheory t0reduce thesizeofeach pattern．W ith thismethod．aprevention modelisbuiltOn shortcoreAPIsequencenad used to de— tectcallsequence ofsendmailprogram ．A seriesofexperimentsshow thatthismodel’Sdetection ratereaches to 96，08％ ．na d falsealarm rate fallsto 1．93％．Compared with otherdetection models，the resultdemonstratesthatthismodelhasbeRerper— formanceon detection effi ciency，ability ofreal—time detecting and intelligence． Key words：intrusionprevention；NativeAPIsequence；rough set；variable—length sequence 摘 要 ：为了提高基于Windows操作 系统的入侵防御 系统的检测效率、实时性和智能性 ，引入嵌入式汇编语言来简化对win- dowsNativeAPI的监控 ，将数据集划分为一组基本相对独立的变长序列模式，利用粗糙集理论对每种长度的序列集进行简约， 建立了较小规模的NativeAPI短序列的防御模型，并应用于sendmail调用序列检测。实验结果表明，模型的检测率达到96．08％， 误报率降低到1．93％。与其他检测模型的比较结果表明，模型在检测率、实时性和智能性方面有更优的性能。 关键词 ：入侵防御 ；NativeAPI序列；粗糙集；变长序列 DOh10．3778~．issn．1002．8331．2010．33．030 文章编 号：1002—833l(2010)330108—04 文献标识码：A 中图分类号：TP393．08 1 引言 理论的入侵检测方法，但该方法在检测模拟正常序列的攻击 Windows操作系统大量应用于政府、教育机构及个人用 行为方面能力较弱。文献 5【]提出了一种变长序列模式的寻 户，然而像防火墙、主机入侵检测系统(HostIntrusionDetec． 找算法，但该方法用于训练的正常序列包含的大量冗余信 tionSystem，HIDS)等安全技术没有深入到Windows系统内 息，因此检测效率和实时性较羞。文献 [6—7】和文献 [8．